如何做好日志审计？

本文目录导读：

1. 第一阶段：规划与准备（定目标、定策略）
2. 第二阶段：日志采集与规范化（收得来、看得懂）
3. 第三阶段：集中存储与保留（存得住、保安全）
4. 第四阶段：分析与告警（看得到、看得懂）
5. 第五阶段：响应与处置（闭环、不遗漏）
6. 第六阶段：持续优化（靠人、靠流程）
7. 推荐工具链（轻量到重量）
8. 给不同规模的建议

做好日志审计是一项系统性工程,不仅仅是收集日志那么简单，它涉及规划、收集、存储、分析、响应和持续优化六个核心环节。

以下是一份从0到1的实操指南,帮助你建立有效的日志审计体系：

第一阶段：规划与准备（定目标、定策略）

这是最容易被忽视但最重要的一步,问自己三个问题：

1. 审计目标是什么？

   • 合规性： 满足等保2.0、GDPR、PCI-DSS、SOX等行业法规？（关键日志需保留6个月/1年以上，并具备防篡改能力）
   • 安全事件溯源： 发现入侵后能回溯攻击路径？
   • 运维排障： 快速定位系统故障？
   • 内部违规： 监测员工越权操作、数据泄露等行为？

2. 审计范围是什么？

   全量覆盖？还是重点关注核心资产（如数据库服务器、域控服务器、核心业务系统）？

3. 关键日志清单有哪些？

   • 网络设备： 防火墙（允许/拒绝策略）、路由器、交换机。
   • 服务器： Windows安全日志（登录、权限变更）、Linux syslog/secure日志。
   • 数据库： MySQL审计日志、Oracle审计日志、SQL Server错误日志。
   • 应用系统： Web服务器（Apache/Nginx访问/错误日志）、业务系统API调用日志。
   • 安全设备： IPS/IDS告警、WAF攻击日志、杀毒软件扫描日志。

第二阶段：日志采集与规范化（收得来、看得懂）

这一步的核心是解决日志格式混乱和数据丢失问题。

1. 采集方式：

   • Agent部署： 在服务器上安装日志采集Agent（如Filebeat、Syslog-ng）。优点：性能好、可过滤敏感字段。缺点：需要维护Agent。
   • 持续数据保护： 网络流量抓包（Sniffer、NetFlow）。优点：零侵入。缺点：数据量大、加密流量无法解析。
   • API/Syslog： 设备主动将日志发送到集中平台。

2. 规范化（Log Parsing）：

   • 必须将不同格式的日志（如Apache的文本格式、Windows的EVTX格式）统一为JSON或Syslog RFC 5424格式。
   • 核心字段： 时间戳（统一时区）、源IP、目的IP、用户ID、事件类型、操作结果（成功/失败）、原始日志。

3. 关键配置：

   • 时钟同步： 所有设备必须使用统一的NTP服务器，否则时间错位会导致无法溯源。
   • 日志轮转： 设置日志文件大小上限（如100MB），避免撑爆磁盘。

第三阶段：集中存储与保留（存得住、保安全）

1. 存储架构：

   • 热存储（近3-6个月）： 使用Elasticsearch、Splunk等搜索引擎，保证快速查询。
   • 冷存储（6个月以上）： 压缩后存入廉价对象存储（如阿里云OSS、AWS S3 Glacier）。
   • 归档存储（合规要求）： 刻录光盘或写入WORM（一次写入，多次读取）存储，不可更改。

2. 安全措施：

   • 写保护： 日志一旦写入，所有账户（包括root）都不能直接修改或删除原始文件，建议使用日志完整性校验（如签名或存入区块链）。
   • 加密： 传输使用TLS/SSL，存储使用AES-256加密。
   • 备份： 异地多活或冷备份，防止机房火灾或勒索病毒。

第四阶段：分析与告警（看得到、看得懂）

这是日志审计的核心价值，手动翻看海量日志效率极低，必须依赖自动化。

1. 建立基线： 先记录7-30天的正常流量、登录频率、CPU峰值，以此为基础识别异常。

2. 关键告警规则（签名检测）：

   • 暴力破解： 某IP 5分钟内失败登录次数 > 50次。
   • 特权账号异常： Admin账户在凌晨3点从海外IP登录。
   • 横向移动： 同一账号在1分钟内登录了5台不同的服务器。
   • 敏感操作： 删除数据库表、修改防火墙规则、导出用户数据。
   • 文件完整性监控： 关键配置文件（如/etc/passwd）被篡改。

3. 异常行为检测（UEBA）：

   利用机器学习模型,自动发现偏离用户日常行为模式的异常（如：平时只访问CRM系统的人突然大量访问GitLab）。

第五阶段：响应与处置（闭环、不遗漏）

审计不是只为了找问题,是要解决问题。

1. 告警分级：

   • P0级： 确认入侵、数据泄露 → 立即拉群、电话通知、断网/隔离主机。
   • P1级： 疑似攻击、高危漏洞利用 → 启动响应流程，2小时内确认。
   • P2级： 配置错误、弱口令 → 下发工单，24小时内修复。
   • P3级： 通知类、信息类 → 邮件周报提醒。

2. 调查与取证：

   • 当告警发生时,使用关联查询：收到WAF告警SQL注入 → 立即在ES中查询该源IP在过去10分钟内的所有操作记录（登录了哪些系统？下载了什么文件？）。

3. 定期输出报告：

   • 日报： 昨日安全事件数量、Top10攻击IP。
   • 周报/月报： 趋势分析、改进建议、合规通过率。

第六阶段：持续优化（靠人、靠流程）

工具再好,不维护等于白做。

1. 告警降噪： 很多审计系统刚上线时会不断报警（误报率可能高达90%），需要持续调整阈值，将无效告警屏蔽，否则团队会形成“狼来了”效应。
2. 模拟攻防： 定期进行红蓝对抗，检验日志能否100%捕捉到攻击行为，如果漏掉了，说明采集源或规则有缺失。
3. 人员培训： 安全运营团队需要熟悉日志结构，学会用SPL（搜索处理语言）或SQL进行复杂查询。

推荐工具链（轻量到重量）

给不同规模的建议

• 个人/小团队： 直接用 Wazuh（免费、自带Agent和规则、界面友好），或者 Vultr/腾讯云自带审计功能。
• 中型企业： 使用 ELK Stack 配合 Syslog-ng，投入人力做规则编写。
• 大型企业/合规要求高： 建议采购 Splunk 或 IBM QRadar，同时建立安全运营中心。

最后一点忠告： 不要试图收集所有日志。 全量收集会导致存储成本爆炸且分析困难，建议先聚焦认证日志、敏感操作日志、网络出入站日志，等跑起来之后，再逐步扩大覆盖范围。